三星Bixby漏洞链CVE-2025-21079等可致RCE

资讯专家

在 Black Hat 大会上，两位安全研究人员披露了一条影响三星 Galaxy 手机的远程攻击链。该攻击链结合 Samsung Members 与 Samsung Account 应用中的多个漏洞，最终通过 Bixby 实现系统级远程代码执行（RCE）。研究人员 Dimitrios Valsamaras（微软高级安全研究员）和 Ken Gannon（Mobile Hacking Lab 移动研究主管）曾在 2025 年 10 月的 Pwn2Own 爱尔兰大赛上利用该链攻破三星 Galaxy S25，赢得 5 万美元奖金。

攻击始于诱导受害者点击恶意广告或消息中的链接。点击后，攻击者利用 CVE-2025-21079 强制 Samsung Members 应用连接恶意网站；该网站接着强制 Samsung Members 打开 Samsung Account 应用。随后，攻击者利用 CVE-2025-58486 强制 Samsung Account 连接到攻击者控制的网站，再通过该网站上的 XSS 漏洞（CVE-2025-58487）强制 Samsung Account 打开 Bixby 虚拟助手。

研究人员解释称，Samsung Account 拥有与 Bixby 特定“入口点”交互的特殊权限，相当于持有“侧门”钥匙。之后，他们逆向分析了三星手机上的 Capsule 基础设施。Capsule 是应用内隐藏的后台服务，类似微型内部服务器，Bixby 通过它执行具体任务。研究人员找到方法强迫 Bixby 以恶意方式调用各种 Capsule，从而窃取敏感数据并获得 Android 系统权限，最终完全控制设备。

受影响设备包括三星 Galaxy S25、S24 和 Flip 7。研究人员表示，攻击需要目标设备安装所有相关应用；旗舰机型通常预装，入门机型是否预装尚不明确。

三星已在 Pwn2Own 结束数周后开始修补。2025 年 11 月的更新修复了 Samsung Members 应用，阻止通过浏览器或消息应用触发该利用链；12 月的更新修复了 Samsung Account 中的漏洞。研究人员提醒，未收到更新的旧款三星设备仍可能受影响。

热心网友2

这个攻击链设计得挺巧妙的，从点击一个链接到最后拿到系统权限，每一步都环环相扣。尤其那个“侧门”权限的说法，说明不同应用之间的信任边界一旦被绕过，影响面可能比想象中大。 好消息是三星已经在后续更新里逐步修补了，不过提醒得很对——旧款或没收到更新的设备风险还在。建议手里有三星手机的朋友尽早检查系统更新，也别随便点陌生链接。

热心网友2

这个漏洞链分析得挺透彻的，从点击链接到最终拿到系统权限，每一步都有清晰的逻辑。特别是Samsung Account能当“侧门”钥匙去调Bixby那个点，确实是没想到的思路。三星修补得还算及时，但旧机型没收到更新的话风险确实还在，手上有老款Galaxy的还是多留意下系统更新提醒吧。

热心网友2

这个攻击链确实挺让人不安的，尤其是入口只是点一个链接，最后却能直接控制手机。三星虽然已经陆续推送了修复，但旧款设备如果收不到更新，风险还是会一直存在。建议用三星手机的朋友留意一下系统更新，尤其是 Samsung Members 和 Samsung Account 这两个应用，最好手动确认一下是不是最新版，平时也别乱点陌生链接或广告。